Le questioni da definire prima di richiedere un preventivo
I costi e la durata dei penetration test per le banche dipendono dai sistemi obiettivo, dai ruoli, dai flussi di lavoro aziendali, dalle modalità di accesso e dai requisiti di rendicontazione. Il solo numero di sistemi non è sufficiente per determinare l’impegno richiesto. Utilizzate le domande seguenti per preparare l’ambito e individuare le ipotesi a cui una proposta deve rispondere.
Prima di un incarico
Cosa comprende il penetration testing in ambito bancario?
Test di penetrazione per il digital banking e le API; test di penetrazione per reti bancarie e identità privilegiate; test dei flussi di pagamento e dell’autorizzazione. L’ambito concordato definisce asset, ruoli, interfacce ed esclusioni specifici.
Potete testare i sistemi di produzione?
Utilizzare pagamenti predisposti e clienti sintetici con il regolamento disattivato. Concordare un'autorità indipendente con facoltà di arresto, la riconciliazione delle transazioni, i responsabili dei sistemi identificati e le autorizzazioni per i servizi di terze parti. Distinguere le modifiche dimostrate alle bozze dai trasferimenti di fondi non eseguiti. I test in produzione richiedono un accordo esplicito; i risultati in staging e in produzione non devono essere presentati come intercambiabili.
È la stessa cosa di una scansione delle vulnerabilità?
No. Una scansione può supportare l’individuazione, ma un penetration test convalida le debolezze selezionate e le relative conseguenze nell’ambiente autorizzato. Il rapporto dovrebbe distinguere le osservazioni non verificate dai risultati dimostrati.
Un test di penetrazione dimostra la conformità?
DORA si applica alle entità finanziarie rientranti nel suo ambito, mentre il TLPT previsto dalla normativa è un processo specifico di test avanzato per le entità individuate. Un penetration test bancario può contribuire al programma di test più ampio senza essere un TLPT DORA. PCI DSS può essere pertinente per l’ambito dei dati dei titolari di carta; il GDPR e le aspettative di vigilanza richiedono una valutazione separata.
Quanto dura un incarico e quanto costa?
Durata e tariffe dipendono dall’ambito, dai ruoli, dai flussi di lavoro, dalle condizioni di accesso, dal coinvolgimento di terze parti e dalle esigenze di reportistica e ripetizione dei test. Questi aspetti vengono concordati in una proposta, anziché dedotti da un pacchetto generico.
Cosa riceveremo?
Un registro di copertura concordato, rilievi tecnici, evidenze, limiti dell’impatto e un piano di correzione. I retest e le ulteriori esercitazioni operative sono specificati nel capitolato.
L’esempio è un report reale di un cliente?
No. Megabank AG e tutti i sistemi, i partecipanti e i risultati sono fittizi. L’esempio illustra la rendicontazione tecnica senza esporre informazioni dei clienti.
Che cosa succede ai dati forniti per richiedere un esempio?
Atlant Security riceve la vostra richiesta tramite la propria casella aziendale, rende disponibile il download dal browser e può ricontattarvi in merito alla richiesta. Non verrete iscritti a comunicazioni di marketing. Consultate le informative sulla privacy e sui cookie.
Cosa dovremmo includere in una richiesta?
La sua organizzazione, il suo ruolo, una descrizione generale dei sistemi o dei flussi di lavoro, l'obiettivo e le tempistiche previste. Non invii cartelle cliniche, dati di pagamento, credenziali o informazioni di sicurezza riservate tramite il modulo pubblico.
